안전하다더니 뒤통수...이더리움 디파이, 해킹 피해로 600만 달러 유출

▲ 이더리움(ETH), 탈중앙화금융(DeFi, 디파이), 서머파이(Summer.fi), 암호화폐 해킹/AI 생성 이미지

연환산수익률이 순식간에 208만%까지 치솟은 ‘저위험’ 자동화 자산 운용 상품이 600만 달러 탈취 통로로 뒤집혔다. 이더리움(Ethereum, ETH) 기반 탈중앙화금융(DeFi) 프로토콜 서머파이(Summer.fi)는 6,540만 달러 규모 플래시론 공격을 맞고 DAI를 대거 빼앗겼다.

7월 6일(현지시간) 암호화폐 전문 매체 유투데이에 따르면, 옛 오아시스앱(Oasis.app)인 서머파이는 월요일 오전 정교한 해커 공격을 받았다. 공격자는 자동화 자산 운용 상품의 취약점을 파고들어 약 600만 달러 상당의 DAI를 인출했으며 블록에이드(Blockaid), 펙실드(PeckShield), 써틱(CertiK) 등 보안업체가 공격 사실을 포착했다.

공격의 핵심은 6,540만 달러 규모 플래시론이었다. 해커는 개발진이 저위험 상품으로 내세운 ‘LazyVault_LowerRisk_USDC’ 유동성 풀의 자금 구조를 인위적으로 왜곡했다. 알고리즘에 치명적인 오류가 발생하면서 해당 상품의 표시 연환산수익률(APY)은 순간적으로 208만%까지 폭등했고, 해커는 가격이 뒤틀린 틈을 파고들어 사용자 자금을 즉시 인출했다. 해당 상품의 위험 관리는 블록 애널리티카(Block Analitica)가 맡고 있었다.

서머파이의 멀티체인 인프라는 이더리움과 베이스(Base), 아비트럼(Arbitrum)에 걸쳐 있으며 최근 1년간 여러 보안 문제를 겪었다. USDX 스테이블코인 디페깅 사태로 출금이 동결됐고 rsETH 프로젝트를 통한 공격을 가까스로 피했으며, 오래된 접근 권한을 악용한 악성 거버넌스 제안도 마지막 순간 차단했다. 2026년 3분기 시작 전 DeFi 업계의 사이버 공격 피해액은 이미 8억 4,000만 달러를 넘어섰고 4월 피해액만 6억 4,000만 달러 이상을 기록했다.

이번 공격의 피해는 대규모 자금을 맡긴 이용자에게 집중됐다. 온체인 정보에 따르면 Web3 기업 UDHC 공동창업자 토르벤 요르겐센(Torben Jorgensen)과 연계된 지갑은 공격 직전 해당 유동성 풀에 약 860만USDC를 예치했으며 가장 큰 손실을 입었다. 탈취된 DAI는 유니스왑 V3(Uniswap V3) 유동성 풀을 거쳐 빠르게 전환됐다.

서머파이 팀은 피해를 본 모든 계약의 운영을 일시 중단했다. 피해 보상과 관련한 공식 발표는 기사 작성 시점까지 나오지 않았다.

[기사 핵심 요약]

-서머파이의 저위험 자동화 자산 운용 상품이 플래시론 공격을 받아 약 600만 달러 상당의 DAI가 탈취됐다.

-해커는 6,540만 달러 규모 플래시론으로 자금 구조를 왜곡했고 표시 APY는 순간적으로 208만%까지 폭등했다.

-서머파이는 피해 계약의 운영을 일시 중단했으며 피해 보상 관련 공식 발표는 나오지 않았다.

*면책 조항: 이 기사는 투자 참고용으로 이를 근거로 한 투자 손실에 대해 책임을 지지 않습니다. 해당 내용은 정보 제공의 목적으로만 해석되어야 합니다.*